Accord de sous-traitance des données

Entre le Client, identifié dans le devis signé, agissant en qualité de responsable du traitement,

et Herman Olivier Office Solutions (« HOOS »), Rue du Vinâve 5/10, 4970 Stavelot, Belgique, numéro d'entreprise et de TVA BE 0895.226.262, agissant en qualité de sous-traitant.

Le présent accord fait partie du contrat d'abonnement (devis signé, conditions générales d'abonnement, annexes produits). Il s'applique dès que HOOS traite des données à caractère personnel pour le compte du Client, au sens du règlement (UE) 2016/679 (« RGPD ») et de la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

1. Objet, durée, nature et finalité

1.1. Objet : fourniture des produits souscrits (hébergement, application, connecteurs, messagerie, assistance), décrits dans les annexes produits.

1.2. Durée : celle du contrat d'abonnement, prolongée de la phase de restitution et de suppression (article 11).

1.3. Nature des opérations : collecte par l'intermédiaire de l'application, enregistrement, hébergement, organisation, consultation, synchronisation avec les logiciels du Client (Odoo, Billit), transmission aux destinataires désignés par le Client (Car-Pass, comptable, réseau Peppol), sauvegarde, traitement par des assistants d'intelligence artificielle dans le cadre de l'assistance, export et suppression.

1.4. Finalité : exclusivement l'exécution du Service pour le compte du Client. HOOS n'utilise pas les données à ses propres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.

2. Données et personnes concernées

Données sensibles. Le Service n'est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD), et le Client s'engage à ne pas y en saisir. FleetDesk sert à des transports professionnels ou de vacances, et non à des transports médicaux : le type de transport et les informations dont l'application n'a pas besoin restent entre le Client et son propre client, et ne transitent pas par HOOS. La seule indication relative à un passager qui s'en approche est la case « personne à mobilité réduite », une simple réponse oui ou non, sans motif ni détail médical. Le Client s'engage à ne saisir aucune donnée concernant la santé dans les champs libres de l'application (remarques, notes). Qualification de cette case au regard de l'article 9 du RGPD : [à confirmer].

3. Instructions documentées

3.1. HOOS ne traite les données que sur instruction documentée du Client. Le contrat, les réglages de l'application et les demandes écrites du Client (courriel, guichet) constituent ces instructions.

3.2. HOOS informe immédiatement le Client s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable.

3.3. Si le droit de l'Union ou d'un État membre impose à HOOS un traitement, il en informe le Client avant le traitement, sauf interdiction légale.

4. Confidentialité

HOOS veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité. À ce jour, la seule personne physique ayant accès aux données est Olivier Herman. Les assistants d'intelligence artificielle de HOOS n'accèdent aux données qu'au moyen d'outils limités au dossier du Client concerné.

5. Sécurité (article 32 du RGPD)

HOOS met en œuvre des mesures techniques et organisationnelles appropriées, dont celles relevées dans le code des produits :

• chiffrement des communications (HTTPS) ;
• chiffrement des clés d'accès confiées par le Client (clé API Odoo dans TimeTracker, identifiants Car-Pass dans CarPass Connect) ;
• isolation des données de chaque client au niveau de la base (sécurité par ligne, RLS, avec tests d'isolation dans FleetDesk) ;
• codes de connexion conservés sous forme d'empreinte, jamais en clair (app HOOS) ;
• hébergement des bases de données dans l'Union européenne : Francfort (Supabase) et Paris (serveur privé de CarPass Connect et BOB50 Connect) ;
• accès des applications aux logiciels du Client limités à ce qu'exige le Service ; profil en lecture seule rétabli après chaque intervention sur un logiciel du Client ;
• journalisation des connexions et des actions sensibles ;
• sauvegardes : quotidiennes, conservées 7 jours, pour les bases hébergées chez Supabase (HOOS Garage, TimeTracker, FleetDesk, HOOS Events, HOOS Panel, Billing Hub, site HOOS) ; pour CarPass Connect et BOB50 Connect, quotidiennes, chiffrées, avec une copie hors du serveur sur un site SharePoint de HOOS hébergé par Microsoft dans l'Union européenne, conservées 30 jours (une sauvegarde mensuelle conservée 12 mois), restauration testée chaque mois ;
• authentification forte (second facteur) sur les comptes d'administration de HOOS : en place sur Microsoft 365, Stripe, OVH, Odoo et Vercel ; Supabase, GitHub et Hostinger : [à confirmer].

Une fiche des mesures de sécurité, établie à partir du présent article, est communiquée au Client sur demande.

6. Sous-traitants ultérieurs

6.1. Le Client donne à HOOS une autorisation écrite générale de recourir aux sous-traitants ultérieurs figurant dans la liste annexée (« Sous-traitants ultérieurs »).

6.2. HOOS informe le Client de tout ajout ou remplacement envisagé au moins trente jours à l'avance, par courriel. Le Client peut s'y opposer dans ce délai, par une opposition motivée par un motif raisonnable lié à la protection des données. À défaut d'accord, le Client peut résilier sans indemnité le seul produit concerné.

6.3. HOOS impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.

6.4. Les fournisseurs souscrits directement par le Client (notamment Odoo SA et Billit) et les destinataires qu'il désigne (Car-Pass, son comptable, ses correspondants Peppol) ne sont pas des sous-traitants ultérieurs de HOOS.

7. Transferts hors de l'Union européenne

7.1. Certains sous-traitants ultérieurs sont établis hors de l'Union européenne, principalement aux États-Unis, ou y traitent une partie des données. Tout transfert repose sur une décision d'adéquation de la Commission européenne, notamment la décision (UE) 2023/1795 relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework ») pour les fournisseurs qui y ont adhéré, ou sur les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, complétées si nécessaire de mesures supplémentaires.

7.2. Mécanisme de chaque fournisseur, selon ses conditions publiées :

8. Droits des personnes concernées

HOOS aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Une demande reçue directement par HOOS est transmise au Client dans les cinq jours ouvrables, sans y répondre sur le fond, sauf instruction du Client.

9. Violation de données

9.1. HOOS notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, afin de permettre au Client de respecter son propre délai de 72 heures envers l'Autorité de protection des données.

9.2. La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le point de contact (olivier@hoos.cloud).

10. Assistance au Client

HOOS aide le Client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations relatives à la sécurité, à la notification des violations, à l'analyse d'impact et à la consultation préalable (articles 32 à 36 du RGPD). Une assistance qui excède la fourniture d'informations disponibles est facturée au tarif horaire en vigueur.

11. Fin du traitement

Au terme du contrat, selon le choix du Client, HOOS restitue les données hébergées par lui (article 15 des conditions générales d'abonnement), puis les supprime, ainsi que leurs copies, trente jours après la restitution ou, à défaut de demande, à l'expiration du délai de restitution de trente jours, sauf obligation légale de conservation. Les copies présentes dans les sauvegardes sont effacées au fil de leur rotation normale : 7 jours pour les bases hébergées chez Supabase ; 30 jours pour les sauvegardes quotidiennes et 12 mois pour les sauvegardes mensuelles de CarPass Connect et BOB50 Connect. HOOS confirme la suppression par écrit sur demande.

12. Audit et documentation

HOOS met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, par lui-même ou un auditeur indépendant tenu au secret, moyennant un préavis écrit de trente jours et au plus une fois par an, sauf violation avérée. L'audit ne peut porter atteinte à la sécurité ni à la confidentialité des données des autres clients de HOOS ; l'accès aux infrastructures des sous-traitants ultérieurs s'exerce au travers de leurs propres rapports et certifications.

13. Intelligence artificielle

Les assistants d'intelligence artificielle de HOOS traitent des données du Client pour fournir l'assistance et les produits qui en font usage. Le fournisseur de modèles (Anthropic Ireland, Limited) agit comme sous-traitant ultérieur et n'utilise pas les données pour entraîner ses modèles. Aucune décision produisant des effets juridiques à l'égard d'une personne concernée, ou l'affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé (article 22 du RGPD) : chaque décision qui engage est validée par un humain.

14. Responsabilité

14.1. Envers les personnes concernées, chaque partie répond conformément à l'article 82 du RGPD. Aucune disposition du contrat ne limite ni n'exclut le droit à réparation que les personnes concernées tiennent de cet article.

14.2. Entre les parties, y compris pour l'action récursoire prévue à l'article 82, paragraphe 5, du RGPD, la responsabilité de HOOS au titre du présent accord est soumise aux exclusions et au plafond de l'article 16 des conditions générales d'abonnement.

14.3. Ces limitations ne s'appliquent pas en cas de dol, de faute intentionnelle ou de faute lourde de HOOS ou d'une personne dont il répond, ni lorsque la faute cause une atteinte à la vie ou à l'intégrité physique d'une personne, ni dans les autres cas où la loi interdit de limiter la responsabilité.

15. Droit applicable

Le présent accord est soumis au droit belge. Les litiges relèvent de la compétence exclusive des tribunaux de l'arrondissement judiciaire de Liège, comme le prévoit l'article 24 des conditions générales d'abonnement.

Annexe — Sous-traitants ultérieurs

Voir le document « Sous-traitants ultérieurs », tenu à jour par HOOS.